Leistungen

AI & Vibe Coding Forensic: KI- und Agentic-Code-Audit

Der unabhängige technische Audit untersucht KI-generierte, agentisch entwickelte und spec-driven Codebasen anhand des vorhandenen Codes und der verfügbaren Entwicklungsnachweise. Vor dem Start werden Prüffrage, einbezogene Repositories, Agent-Workflows und Nachweise festgelegt. Das Ergebnis trennt belegte Befunde, Risiken, Hypothesen und offene Fragen.

Fachlich verantwortlich: Oliver Fries

Ich bin Oliver Fries aus Lemgo in OWL, freiberuflicher Software Engineer, Architekt und Tech Lead mit mehr als 14 Jahren .NET-Erfahrung. Der Audit richtet sich an CTOs, Heads of Engineering und IT-Leiter, die KI-gestützt entwickelte Software anhand des Codes und der tatsächlich verfügbaren Entwicklungsnachweise beurteilen müssen.

Wann passt die Leistung?

KI-Agenten oder spec-driven Entwicklung erzeugen bereits produktionsnahen Code, aber die technische Nachweiskette ist lückenhaft oder schwer zu beurteilen.
Sie müssen entscheiden, ob Tests, Reviews, Berechtigungen und Quality Gates für eine Ausweitung der KI-gestützten Entwicklung ausreichen.
Architecture Drift, widersprüchliche Muster, Package-Risiken oder sicherheitsrelevante Auffälligkeiten sollen anhand vorhandener Evidenz eingeordnet werden.
Sie brauchen eine unabhängige Grundlage für technische Prioritäten, bevor weitere Agent-Workflows oder Releases freigegeben werden.

Was ich anhand der verfügbaren Nachweise prüfe

Vor dem Start werden eine konkrete Prüffrage, die einbezogenen Codebereiche und die verfügbaren Nachweise schriftlich festgehalten. Der Audit vertieft nur die dafür relevanten Prüfbereiche aus der folgenden Liste. Eine vollständige Prüfung aller Punkte ist nur enthalten, wenn sie ausdrücklich vereinbart wurde. Fehlende Quellen werden als Evidenzlücke oder offene Frage ausgewiesen und nicht durch Vermutungen ersetzt.

Spezifikation und Implementierung: Konsistenz von Anforderungen, Akzeptanzkriterien, Prompt- und Spec-Änderungen, Code und beobachtbarem Verhalten.
Agent-Artefakte, Logs und andere Entwicklungsnachweise: Soweit vorhanden zeigen sie, welche Aufgaben, Werkzeuge, Regeln und Prüfschritte im Agent-Workflow tatsächlich verwendet wurden.
Git-Historie und Pull Requests: Änderungsumfang, Review- und Freigabespuren, häufig geänderte Bereiche und die Nachvollziehbarkeit einzelner Entscheidungen.
Architektur und Architecture Drift: Systemgrenzen, Kopplung sowie doppelte oder widersprüchliche Implementierungsmuster.
Tests und Verification Funnel: welche Anforderungen, Risiken und Fehlerpfade die Tests abdecken und wie Spezifikation, Implementierung, Prüfung und Release miteinander verbunden sind.
Integration, Build, CI/CD und Release-Prozess: vorhandene Quality Gates, manuelle Übergaben, reproduzierbare Prüfungen und Lücken zwischen Codeänderung und Auslieferung.
AI Code Reviews und menschliche Reviews: welche Fehlerklassen die vorhandenen Kontrollen erkennen können und wo Kontext, Prüftiefe oder Stichprobengröße ihre Aussagekraft begrenzen.
Dependencies und Packages: bekannte Schwachstellen, Versionsstände, Herkunft und Aktualisierungsrisiken auf Basis der verfügbaren Paket- und Scannerinformationen.
Security Boundaries, Berechtigungen und Secrets: Zugriffsgrenzen, Werkzeugrechte sowie sichtbare Hinweise auf Secrets- oder Credential-Exposure.
Risiken agentisch erzeugten Codes und Generated-Code-Hotspots: Auffällige Bereiche werden nur dann einem Agent-Workflow zugeordnet, wenn Logs, Pull Requests oder Agent-Artefakte diese Verbindung belegen.

Ablauf

Prüffrage und Paket festlegen: Für Standard grenzen wir ein Repository und einen Spec- oder Agent-Workflow ab. Für Enterprise benennen wir die einbezogenen Repositories und die zusammenhängenden Multi-Agent-Workflows. Dabei klären wir auch, ob zusätzlich Code & Architecture Forensic benötigt wird.
Nachweiskette erfassen: Ich ordne verfügbare Spezifikationen, Prompts, Agent-Artefakte, Logs, Pull Requests, Git-Historie, Tests, Build- und Release-Daten ein und dokumentiere fehlende Verbindungen.
Code und Kontrollen untersuchen: Im vereinbarten Umfang prüfe ich Architektur, Hotspots, Dependencies, Security Boundaries, Tests, Reviews, Integration und Delivery. Jeder Punkt wird als belegter Befund, Risiko, Hypothese oder offene Frage gekennzeichnet.
Entscheidungen vorbereiten: Standard dauert 2–3 Tage, Enterprise 4–5 Tage. Der Zeitraum beginnt, sobald die vereinbarten Zugänge und Daten vorliegen. Im Ergebnisgespräch erläutere ich Evidenzstärke, Grenzen, Prioritäten und die nächsten überprüfbaren Schritte.

Was Sie bereitstellen

Zugriff auf die vereinbarten Repositories mit Git-Historie und vorhandenen Pull Requests.
Vorhandene Spezifikationen, Prompts, Akzeptanzkriterien, Agent-Artefakte und Logs. Fehlende Unterlagen schließen den Audit nicht automatisch aus, begrenzen aber die möglichen Aussagen.
Verfügbare Informationen zu Tests, Integration, Build, CI/CD, Release-Prozess, Dependencies und eingesetzten Scannern.
Vorhandene Regeln zu Berechtigungen, Werkzeugzugriff, Secrets, Freigaben und Fehlerfällen in den Agent-Workflows.
Ansprechpartner, die Systemkontext, Arbeitsweise, Review-Prozess und die anstehende technische Entscheidung erläutern können.

Ergebnis

Eine schriftliche Auswertung der vereinbarten Prüffrage mit einer nachvollziehbaren Nachweiskette von Spezifikation und Agent-Workflow über Implementierung und Tests bis zu Build und Release, einschließlich der sichtbaren Lücken.
Priorisierte belegte Befunde, Risiken, Hypothesen und offene Fragen mit Angabe der jeweiligen Evidenzstärke.
Eine technische Einordnung von Codequalität, Architecture Drift, Testwirkung, Review-Grenzen, Dependencies und sicherheitsrelevanten Auffälligkeiten im vereinbarten Umfang.
Konkrete nächste Prüfschritte und Optionen für Akzeptanzkriterien, Tests, Agent-Grenzen, Reviews und Quality Gates.
Eine Entscheidungsgrundlage dafür, ob der fokussierte Audit ausreicht oder ein separates Code & Architecture Forensic beziehungsweise eine weitere Fachprüfung sinnvoll ist.

Zeitrahmen und Preis

Standard: 2–3 Tage · Enterprise: 4–5 Tage

3.500–7.000 € Festpreis netto zzgl. USt.

Pakete

Standard: 1 Repository · 1 abgegrenzter Spec- oder Agent-Workflow · 2–3 Tage 3.500 € Festpreis netto zzgl. USt.
Enterprise: Vorab benannte Repositories · zusammenhängende Multi-Agent-Workflows · 4–5 Tage 7.000 € Festpreis netto zzgl. USt.

Vereinbarter Umfang und dokumentierte Abnahme.

Abgrenzung und Ausschlüsse

Der Einsatz von KI beweist weder gute noch schlechte Codequalität. Entscheidend sind Code, Verhalten und die verfügbaren technischen Nachweise.
Agent-Anteile lassen sich nicht zuverlässig allein aus Quellcode oder Git-Historie ableiten. Aussagen zur Provenienz stützen sich ausschließlich auf vorhandene Logs, Pull Requests und Agent-Artefakte.
Fehlende Spezifikationen oder Entwicklungsnachweise werden als Evidenzlücke dokumentiert. Sie gelten weder als Beweis für einen Fehler noch als Beleg für einen kontrollierten Prozess.
Das Vibe Coding Assessment fokussiert die Qualität und Sicherheitslücken der Agents und ihrer Arbeitsweise. Es bildet keine vollständige Code-Forensic-Prüfung des gesamten Systems ab.
Vibe Coding Assessment und Code & Architecture Forensic können einzelne Prüfbereiche gemeinsam haben. Das vollständige Code & Architecture Forensic muss separat oder zusätzlich beauftragt werden.
Die Untersuchung sichtbarer Security Boundaries, Berechtigungen und Exposure-Hinweise ersetzt keinen separat vereinbarten Penetrationstest oder vollständigen Security-Audit.
Der zeitlich und fachlich abgegrenzte Audit kann nicht jeden Fehler oder jedes Risiko der gesamten Codebasis erfassen. Die Ergebnisse gelten für den vereinbarten Umfang und die verfügbaren Nachweise.
Die Festpreise gelten für die vorab vereinbarten Repositories, Workflows und Prüffragen. Zusätzliche Repositories, weitere Workflows oder eine nachträgliche Erweiterung des Prüfauftrags werden separat vereinbart.

Häufige Fragen

Muss vorher der Release Risk-Check durchgeführt werden?

Nein. Der kostenlose Release Risk-Check ist ein Fragenkatalog und keine technische Prüfung oder Erstdiagnose. Der KI- und Agentic-Code-Audit kann direkt angefragt werden.

Was unterscheidet den Audit vom klassischen Legacy Audit?

Der KI- und Agentic-Code-Audit betrachtet besonders Spezifikationen, Agent-Workflows, Provenienz und die Kontrollen KI-gestützter Entwicklung. Code & Architecture Forensic untersucht ein gewachsenes System umfassender. Architektur, Git, Tests, Build und Release können in beiden Aufträgen relevant sein.

Ist das Vibe Coding Assessment eine vollständige Code-Forensic-Prüfung?

Nein. Es fokussiert die Qualität und Sicherheitslücken der Agents und ihrer Arbeitsweise. Eine vollständige Untersuchung der Codebasis wird als Code & Architecture Forensic separat oder zusätzlich vereinbart.

Was passiert bei fehlenden Spezifikationen oder Agent-Logs?

Ich prüfe die übrigen verfügbaren Nachweise und benenne, welche Verbindungen nicht belegt werden können. Die Lücke wird als Grenze oder offene Frage dokumentiert, nicht nachträglich mit einer Annahme gefüllt.

Lässt sich erkennen, welcher Code von einem Agenten stammt?

Aus Quellcode und Git-Historie allein in der Regel nicht zuverlässig. Eine belastbare Zuordnung ist nur möglich, soweit vorhandene Logs, Pull Requests oder Agent-Artefakte sie dokumentieren.

Ist KI-generierter Code automatisch riskanter?

Der KI-Einsatz beweist weder gute noch schlechte Codequalität. Der Audit bewertet die konkrete Implementierung, ihre Nachweise und die wirksamen Kontrollen im vereinbarten Umfang.

Kann der Special Audit direkt angefragt werden?

Ja. Im Erstgespräch klären wir die anstehende Entscheidung, den vorhandenen Nachweisstand und den passenden Umfang. Ein vorheriger Release Risk-Check ist keine Voraussetzung.

Wie unterscheiden sich Standard und Enterprise?

Standard untersucht ein Repository und einen klar abgegrenzten Spec- oder Agent-Workflow in 2–3 Tagen. Enterprise untersucht die vorab benannten Repositories und zusammenhängenden Multi-Agent-Workflows in 4–5 Tagen. Beide Pakete umfassen die schriftliche Auswertung und das Ergebnisgespräch für den vereinbarten Prüfauftrag.

So geht es weiter

Im Erstgespräch klären wir die Entscheidung, die der Audit unterstützen soll, den vorhandenen Nachweisstand und die betroffenen Repositories oder Agent-Workflows. Daraus ergibt sich, welcher Prüfauftrag innerhalb der bestehenden Pakete passt und welche Aussagen die Datenbasis tragen kann.

Erstgespräch zum KI- und Agentic-Code-Audit vereinbaren →